← Österreich

{'item': '2025-0.699.550'}

RIS Dokument Entscheidende BehördeDatenschutzbehörde Entscheidungsdatum04.09.2025 Geschäftszahl2025-0.699.550 Anfechtung beim BVwG/VwGH/VfGHDieses Straferkenntnis ist rechtskräftig. TextGZ: 2025-0.699

Art. 83

DSGVO ist im Falle einer juristischen Person nämlich keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans erforderlich (vgl. EuGH vom 05.12.2023, C-807/21, Rz. 77; siehe auch VwGH 29.07.2025, Ro 2022/04/0017, wonach ein allfälliges Fehlverhalten eines Mitarbeiters im Rahmen seiner dienstlichen Aufgaben der Organisation und nicht dem Mitarbeiter zuzurechnen ist).Die Beschuldigte übersieht hierbei, dass das Verhalten ihrer Arbeitnehmerin ihr unmittelbar zugerechnet wird.

Artikel 83

, DSGVO ist im Falle einer juristischen Person nämlich keine Handlung und nicht einmal eine Kenntnis seitens des Leitungsorgans erforderlich vergleiche EuGH vom 05.12.2023, C-807/21, Rz. 77; siehe auch VwGH 29.07.2025, Ro 2022/04/0017, wonach ein allfälliges Fehlverhalten eines Mitarbeiters im Rahmen seiner dienstlichen Aufgaben der Organisation und nicht dem Mitarbeiter zuzurechnen ist). 3.1.

  1. Mit anderen Worten: Der Umstand, dass der erste Hinweis von einer Arbeitnehmerin als Spam-Nachricht verworfen und der Geschäftsführung der Beschuldigten nicht mitgeteilt wurde, ist für die Strafbarkeit irrelevant. Somit hat die Beschuldigte über die ihr unmittelbar zuzurechnenden Arbeitnehmerin zumindest seit dem 31.01.2025 Kenntnis von der Sicherheitsverletzung erlangt und hat eine Meldung an die DSB gemäß Art. 33 Abs. 1 DSGVO bis zur ersten Stellungnahme vom 02.05.2025 unterlassen.Mit anderen Worten: Der Umstand, dass der erste Hinweis von einer Arbeitnehmerin als Spam-Nachricht verworfen und der Geschäftsführung der Beschuldigten nicht mitgeteilt wurde, ist für die Strafbarkeit irrelevant. Somit hat die Beschuldigte über die ihr unmittelbar zuzurechnenden Arbeitnehmerin zumindest seit dem 31.01.2025 Kenntnis von der Sicherheitsverletzung erlangt und hat eine Meldung an die DSB gemäß Artikel 33, Absatz eins, DSGVO bis zur ersten Stellungnahme vom 02.05.2025 unterlassen. 3.1.
  2. Der Ausnahmetatbestand nach Art. 33 Abs. 1 DSGVO (= kein Risiko für die Rechte und Freiheiten natürlicher Personen) ist im vorliegenden Fall nicht einschlägig.Der Ausnahmetatbestand nach Artikel 33, Absatz eins, DSGVO (= kein Risiko für die Rechte und Freiheiten natürlicher Personen) ist im vorliegenden Fall nicht einschlägig. 3.1.
  3. Gemessen daran hat die Beschuldigte die objektive Tatseite der Strafbestimmung des Art. 83 Abs. 4 lit. a DSGVO verwirklicht. Gemessen daran hat die Beschuldigte die objektive Tatseite der Strafbestimmung des Artikel 83, Absatz 4, Litera a, DSGVO verwirklicht. 3.
  4. Zur subjektiven Tatseite: 3.2.1.

Art. 83DSGVO ist Vorsatz oder zumindest Fahrlässigkeit erforderlich.

Fahrlässigkeit liegt bereits dann vor, wenn der Verantwortliche sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass es gegen die Vorschriften der DSGVO verstößt (vgl. EuGH vom 05.12.2023, C-807/21, Rz. 76).

Artikel 83, DSGVO ist Vorsatz oder zumindest Fahrlässigkeit erforderlich.

Fahrlässigkeit liegt bereits dann vor, wenn der Verantwortliche sich über die Rechtswidrigkeit seines Verhaltens nicht im Unklaren sein konnte, gleichviel, ob ihm dabei bewusst war, dass es gegen die Vorschriften der DSGVO verstößt vergleiche EuGH vom 05.12.2023, C-807/21, Rz. 76). 3.2.

  1. Der Beschuldigten ist im vorliegenden Fall Fahrlässigkeit vorzuwerfen: Zunächst war es fahrlässig, den ersten Hinweis auf die Sicherheitsverletzung ohne weitere Behandlung als „Spam-Nachricht“ zu werten und daher intern nicht weiterzuleiten (zur Zurechnung des Verhaltens der Arbeitnehmerin siehe oben). Es ist aber auch als Fahrlässigkeit zu werten, dass intern erst nach diesem Vorfall Maßnahmen in Form von Schulungen ergriffen wurden, um sicherzustellen, dass solche Hinweise unmittelbar der Geschäftsführung zu melden sind. Unabhängig davon ist der Beschuldigten auch Fahrlässigkeit vorzuwerfen, weil sie – ohne sich dabei rechtlich zu erkundigen (zur Erkundigungspflicht vgl. BVwG vom 27.03.2024, W214 2243436-1) – davon ausgegangen ist, der Hinweis vom Vertreter des B*** am 16.02.2025 bzw. in Kopie als Anzeige an die DSB sei ausreichend gewesen, um die Beschuldigte von der Pflicht einer Meldung nach Art. 33 Abs. 1 DSGVO zu befreien.Unabhängig davon ist der Beschuldigten auch Fahrlässigkeit vorzuwerfen, weil sie – ohne sich dabei rechtlich zu erkundigen (zur Erkundigungspflicht vergleiche BVwG vom 27.03.2024, W214 2243436-1) – davon ausgegangen ist, der Hinweis vom Vertreter des B*** am 16.02.2025 bzw. in Kopie als Anzeige an die DSB sei ausreichend gewesen, um die Beschuldigte von der Pflicht einer Meldung nach Artikel 33, Absatz eins, DSGVO zu befreien. Es lagen im Tatzeitraum mehrere (öffentlich verfügbare) Informationen im Zusammenhang mit der Meldeverpflichtung vor wie beispielsweise die Leitlinien 01/2021 des Europäischen Datenschutzausschusses (EDSA) zu Beispielen für die Meldung von Verletzungen des Schutzes personenbezogener Daten oder die Informationen über die Pflichten von Verantwortliche auf der Webseite der DSB unter „https://dsb.gv.at/rechte-pflichten/ihre-pflichten-als-verantwortlicher“ (siehe hierbei insbesondere „Data Breach Meldung“ mit unverbindlich zur Verfügung gestellte Formulare). Darüber hinaus hat auch der EDSA einen „Datenschutzleitfaden für kleine Unternehmen“ öffentlich in deutscher Sprache unter „https://www.edpb.europa.eu/sme-data-protection-guide/home_de“ zur Verfügung gestellt. Dabei wird insbesondere die Reaktion im Falle einer Sicherheitsverletzung konkret dargelegt.Es lagen im Tatzeitraum mehrere (öffentlich verfügbare) Informationen im Zusammenhang mit der Meldeverpflichtung vor wie beispielsweise die Leitlinien 01 aus 2021, des Europäischen Datenschutzausschusses (EDSA) zu Beispielen für die Meldung von Verletzungen des Schutzes personenbezogener Daten oder die Informationen über die Pflichten von Verantwortliche auf der Webseite der DSB unter „https://dsb.gv.at/rechte-pflichten/ihre-pflichten-als-verantwortlicher“ (siehe hierbei insbesondere „Data Breach Meldung“ mit unverbindlich zur Verfügung gestellte Formulare). Darüber hinaus hat auch der EDSA einen „Datenschutzleitfaden für kleine Unternehmen“ öffentlich in deutscher Sprache unter „https://www.edpb.europa.eu/sme-data-protection-guide/home_de“ zur Verfügung gestellt. Dabei wird insbesondere die Reaktion im Falle einer Sicherheitsverletzung konkret dargelegt. Auch durch den klaren Wortlaut des Art. 33 Abs. 1 DSGVO konnte sich die Beschuldigte über die Rechtswidrigkeit ihres Verhaltens nicht im Unklaren sein. Es wird in dieser Bestimmung die von der Beschuldigten angenommene Ausnahme nicht genannt.Auch durch den klaren Wortlaut des Artikel 33, Absatz eins, DSGVO konnte sich die Beschuldigte über die Rechtswidrigkeit ihres Verhaltens nicht im Unklaren sein. Es wird in dieser Bestimmung die von der Beschuldigten angenommene Ausnahme nicht genannt. 3.2.
  2. Der Beschuldigten wäre es möglich und zumutbar gewesen, sich über ihre Pflichten als Verantwortliche zu informieren und rechtskonform zu verhalten. Die subjektive Tatseite ist ebenfalls erfüllt.
  3. Zur Strafzumessung ist Folgendes festzuhalten: 4.1.
  4. Gemäß Art. 83 Abs. 1 DSGVO hat die DSB sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gegen die unter Sanktion gestellten Bestimmungen der DSGVO (Art. 83 Abs. 4, 5 und 6 DSGVO) in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Näherhin bestimmt Art. 83 Abs. 2 DSGVO, dass bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall bestimmte Kriterien gebührend zu berücksichtigen sind.Gemäß Artikel 83, Absatz eins, DSGVO hat die DSB sicherzustellen, dass die Verhängung von Geldbußen für Verstöße gegen die unter Sanktion gestellten Bestimmungen der DSGVO (Artikel 83, Absatz 4, 5, und 6 DSGVO) in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist. Näherhin bestimmt Artikel 83, Absatz 2, DSGVO, dass bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall bestimmte Kriterien gebührend zu berücksichtigen sind. 4.1.
  5. Die DSB hat im Rahmen der Strafbemessung die Leitlinien des EDSA betreffend Berechnung von Geldbußen nach der DSGVO (vgl. EDPB Guidelines 04/2022 on the calculation of administrative fines under the GDPR, Version 2.1 vom 24.05.2023 – im Folgenden „Fines-Leitlinien“) zur Anwendung gebracht.Die DSB hat im Rahmen der Strafbemessung die Leitlinien des EDSA betreffend Berechnung von Geldbußen nach der DSGVO vergleiche EDPB Guidelines 04 aus 2022, on the calculation of administrative fines under the GDPR, Version 2.1 vom 24.05.2023 – im Folgenden „Fines-Leitlinien“) zur Anwendung gebracht. 4.1.
  6. In Anbetracht der Fines-Leitlinien wird die Beschuldigte unter Berücksichtigung des festgestellten Jahresumsatzes und im Hinblick auf die Verhängung einer wirksamen, abschreckenden und verhältnismäßigen Geldbuße in die niedrigste Kategorie „Unternehmen mit einem Umsatz von bis zu 2 Mio. EUR“ eingestuft. 4.1.
  7. Im Lichte des als erwiesen angenommenen Sachverhalts und unter Berücksichtigung der oben bereits näher behandelten Art, Schwere und Dauer des Verstoßes (Art. 83 Abs. 1 lit. a DSGVO), wobei die Dauer unter Berücksichtigung, dass eine Meldung unverzüglich und möglichst binnen 72 Stunden zu erfolgen hat, ins Gewicht gefallen ist; der Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes (Art. 83 Abs. 2 lit. b DSGVO), wobei die Fahrlässigkeit als neutral zu bewerten war; der Kategorien personenbezogener Daten, die vom Verstoß betroffen sind (Art. 83 Abs. 2 lit. g DSGVO), wobei die Tatsache, dass nicht besondere Kategorien betroffen waren nur als neutral gewertet werden konnte; wird von der DSB die Schwere der Zuwiderhandlung („seriousness of the infringement“) im Ergebnis mit einem geringen Schweregrad festgelegt und ein Startbetrag konkret in Höhe von EUR 300.000 für die weitere Berechnung zu Grunde gelegt. Dieser Betrag befindet sich aufgrund der hier vorliegenden Umstände am unteren Ende der Spanne für Verstöße mit einem „geringen Schweregrad“.Im Lichte des als erwiesen angenommenen Sachverhalts und unter Berücksichtigung der oben bereits näher behandelten Art, Schwere und Dauer des Verstoßes (Artikel 83, Absatz eins, Litera a, DSGVO), wobei die Dauer unter Berücksichtigung, dass eine Meldung unverzüglich und möglichst binnen 72 Stunden zu erfolgen hat, ins Gewicht gefallen ist; der Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes (Artikel 83, Absatz 2, Litera b, DSGVO), wobei die Fahrlässigkeit als neutral zu bewerten war; der Kategorien personenbezogener Daten, die vom Verstoß betroffen sind (Artikel 83, Absatz 2, Litera g, DSGVO), wobei die Tatsache, dass nicht besondere Kategorien betroffen waren nur als neutral gewertet werden konnte; wird von der DSB die Schwere der Zuwiderhandlung („seriousness of the infringement“) im Ergebnis mit einem geringen Schweregrad festgelegt und ein Startbetrag konkret in Höhe von EUR 300.000 für die weitere Berechnung zu Grunde gelegt. Dieser Betrag befindet sich aufgrund der hier vorliegenden Umstände am unteren Ende der Spanne für Verstöße mit einem „geringen Schweregrad“. 4.1.
  8. In Folge wurde die Unternehmensgröße bzw. wirtschaftliche Leistungsfähigkeit im Sinne der Leitlinien berücksichtigt und eine Anpassung auf 0,4% des Ausgangsbetrags vorgenommen, um insbesondere die Verhältnismäßigkeit der Geldbuße nach Art. 83 Abs. 1 DSGVO sicherzustellen. In Folge wurde die Unternehmensgröße bzw. wirtschaftliche Leistungsfähigkeit im Sinne der Leitlinien berücksichtigt und eine Anpassung auf 0,4% des Ausgangsbetrags vorgenommen, um insbesondere die Verhältnismäßigkeit der Geldbuße nach Artikel 83, Absatz eins, DSGVO sicherzustellen. 4.1.
  9. Es liegen über die bereits für die Feststellung des Schweregrades berücksichtigenden Umstände keine weiteren erschwerenden Strafbemessungsgründe vor. Der Betrag wurde schließlich aufgrund der untenstehenden Milderungsgründe reduziert: - Gegen die Beschuldigte liegen bei der DSB keinerlei einschlägige frühere Verstöße gegen die DSGVO vor (Art. 83 Abs. 2 lit. e DSGVO).Gegen die Beschuldigte liegen bei der DSB keinerlei einschlägige frühere Verstöße gegen die DSGVO vor (Artikel 83, Absatz 2, Litera e, DSGVO). - Die Beschuldigte hat im Rahmen des gegenständlichen Ermittlungsverfahrens mitgewirkt und dadurch einen Beitrag zur Wahrheitsfindung geleistet (Art. 83 Abs. 2 lit. f und k DSGVO).Die Beschuldigte hat im Rahmen des gegenständlichen Ermittlungsverfahrens mitgewirkt und dadurch einen Beitrag zur Wahrheitsfindung geleistet (Artikel 83, Absatz 2, Litera f, und k DSGVO). - Die Beschuldigte hat sich nach der Aufforderung zur Stellungnahme im amtswegigen Prüfverfahren rechtskonform verhalten und die von der DSB verlangten Informationen zur Verfügung gestellt, wodurch das Prüfverfahren in Bezug auf die Sicherheitsverletzung zur Einstellung gebracht werden konnte (Art. 83 Abs. 2 lit. f und k DSGVO)Die Beschuldigte hat sich nach der Aufforderung zur Stellungnahme im amtswegigen Prüfverfahren rechtskonform verhalten und die von der DSB verlangten Informationen zur Verfügung gestellt, wodurch das Prüfverfahren in Bezug auf die Sicherheitsverletzung zur Einstellung gebracht werden konnte (Artikel 83, Absatz 2, Litera f, und k DSGVO) 4.1.
  10. Bei der Bemessung der Strafe dürfen nach ständiger Rechtsprechung des VwGH auch Überlegungen der Spezialprävention und Generalprävention einbezogen werden (vgl. VwGH 15.05.1990, 89/02/0093, VwGH
  12. 1997, 96/04/0253, VwGH 29.01.1991, 89/04/0061). Auch nach Art. 83 Abs. 1 DSGVO muss sichergestellt werden, dass jede Geldbuße durch die DSB für festgestellte Verstöße wirksam und abschreckend ist. Bei der Bemessung der Strafe dürfen nach ständiger Rechtsprechung des VwGH auch Überlegungen der Spezialprävention und Generalprävention einbezogen werden vergleiche , VwGH 15.05.1990, 89/02/0093, VwGH
  14. 1997, 96/04/0253, VwGH 29.01.1991, 89/04/0061). Auch nach Artikel 83, Absatz eins, DSGVO muss sichergestellt werden, dass jede Geldbuße durch die DSB für festgestellte Verstöße wirksam und abschreckend ist. 4.1.
  15. Somit kann im Sinne dieser Voraussetzungen die Geldbuße im Einzelfall nochmals erhöht oder reduziert werden. 4.1.
  16. Die Verhängung einer Geldbuße war aufgrund spezialpräventiver Gründe erforderlich, um die Beschuldigte künftig von ähnlich gelagerten Verwaltungsübertretungen abzuhalten, weil sie nach wie vor die Ansicht vertritt, dass neben der Anzeige durch einen Dritten die Meldung durch einen Verantwortlichen nicht erforderlich sei. Aber auch aus generalpräventiven Überlegungen war eine Geldbuße erforderlich und wurde der letztendlich festgelegte Betrag erhöht, um Verantwortliche über ihre Pflichten im Zusammenhang mit der unverzüglichen Meldung von Sicherheitsverletzungen nach Art. 33 Abs. 1 DSGVO an die DSB als zuständige Aufsichtsbehörde zu sensibilisieren. Die abschreckende Wirkung musste sichergestellt werden.Die Verhängung einer Geldbuße war aufgrund spezialpräventiver Gründe erforderlich, um die Beschuldigte künftig von ähnlich gelagerten Verwaltungsübertretungen abzuhalten, weil sie nach wie vor die Ansicht vertritt, dass neben der Anzeige durch einen Dritten die Meldung durch einen Verantwortlichen nicht erforderlich sei. Aber auch aus generalpräventiven Überlegungen war eine Geldbuße erforderlich und wurde der letztendlich festgelegte Betrag erhöht, um Verantwortliche über ihre Pflichten im Zusammenhang mit der unverzüglichen Meldung von Sicherheitsverletzungen nach Artikel 33, Absatz eins, DSGVO an die DSB als zuständige Aufsichtsbehörde zu sensibilisieren. Die abschreckende Wirkung musste sichergestellt werden. 4.1.
  17. Die im Ergebnis konkret verhängte Strafe in der Höhe von EUR 870,- erscheint daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Art. 83 Abs. 5 DSGVO (hier bis zu EUR 20.000.000) [Anmerkung Bearbeiter/in: offenkundiger Redaktionsirrtum, gemeint ist hier wohl Art. 83 Abs. 4 DSGVO] tat- und schuldangemessen und befindet sich am untersten Ende des zur Verfügung stehenden Strafrahmens. Ein (noch) niedrigerer Betrag würde den Voraussetzungen der Wirksamkeit und Abschreckung nach Art. 83 Abs. 1 DSGVO nicht (mehr) gerecht werden.Die im Ergebnis konkret verhängte Strafe in der Höhe von EUR 870,- erscheint daher im Hinblick auf den verwirklichten Tatunwert, gemessen am zur Verfügung stehenden Strafrahmen des Artikel 83, Absatz 5, DSGVO (hier bis zu EUR 20.000.000) [Anmerkung Bearbeiter/in: offenkundiger Redaktionsirrtum, gemeint ist hier wohl Artikel 83, Absatz 4, DSGVO] tat- und schuldangemessen und befindet sich am untersten Ende des zur Verfügung stehenden Strafrahmens. Ein (noch) niedrigerer Betrag würde den Voraussetzungen der Wirksamkeit und Abschreckung nach Artikel 83, Absatz eins, DSGVO nicht (mehr) gerecht werden. European Case Law IdentifierECLI:AT:DSB:2025:2025.0.699.550

🔗 Zur amtlichen Quelle

KI-Erklärung auf Basis des amtlichen Gesetzestextes. Orientierend, ersetzt keine Rechtsberatung.